🇰🇷 한글 설명
AnythingLLM 1.11.1 및 이전 버전에서 비밀번호나 API 키를 설정하지 않은 기본 설치 상태일 경우, 모든 HTTP 엔드포인트와 에이전트 WebSocket에 인증이 누락되어 있습니다. 또한 CORS 정책이 모든 오리진을 허용하여 보안 취약점이 발생하며, 브라우저의 PNA 정책으로 인해 동일한 로컬 네트워크(LAN) 내에서만 공격이 가능합니다.
💡 쉬운 설명
AnythingLLM을 설치할 때 비밀번호를 설정하지 않으면, 같은 와이파이나 네트워크를 쓰는 사람이 내 컴퓨터의 데이터를 마음대로 조작할 수 있습니다. 다만, 인터넷을 통한 외부 공격은 최신 브라우저의 보안 기능 덕분에 차단됩니다.
🇺🇸 원문 (English)
AnythingLLM is an application that turns pieces of content into context that any LLM can use as references during chatting. In 1.11.1 and earlier, On default installations where no password or API key has been configured, all HTTP endpoints and the agent WebSocket lack authentication, and the server's CORS policy accepts any origin. AnythingLLM Desktop binds to 127.0.0.1 (loopback) by default. Modern browsers (Chrome, Edge, Firefox) implement Private Network Access (PNA). This explicitly blocks public websites from making requests to local IP addresses. Exploitation is only viable from within the same local network (LAN) due to browser-level blocking of public-to-private requests.
📍 영향받는 시스템
AnythingLLM 1.11.1 및 그 이전 버전
⚔️ 공격 벡터
동일한 로컬 네트워크(LAN) 내에서 인증되지 않은 HTTP 요청 및 WebSocket 연결을 통한 공격
🛡️ 대응 방법
설치 시 반드시 강력한 비밀번호 또는 API 키를 구성하여 인증을 활성화하십시오.
🔧 검증 코드
명령어 실행 시 인증 없이 API 응답이 정상적으로 반환된다면 취약한 상태입니다.
curl -s http://localhost:3001/api/v1/system/status | grep -q 'error' || echo 'Check authentication status'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:L
💻 영향받는 소프트웨어
IBM WebSphere Application Server